
【漏洞复现】Apache Kafka Connect 任意文件读取漏洞(CVE-2025-27817)
Apache Kafka Connect 是一个开源、可扩展的工具,用于连接 Apache Kafka 与外部数据存储系统或应用程序。允许用户将数据流动从不同的数据源和目标之间传输。通过提供可插拔的连接器和配置,使得构建和管理可靠流数据管道变得更加容易,为实时数据处理和分析提供了强大的基础设施。该漏洞是由于Kafka客户端配置SASL/OAUTHBEARER认证时未对sasl.oauthbearer.*参数进行安全过滤和未限制 URL 的协议类型,导致攻击者可篡改这些参数,在未授权的情况下读取系统敏感文件。
